analiza logów

Analiza logów to badanie zapisów zdarzeń systemowych w celu diagnostyki problemów lub wykrycia nieprawidłowości.

Jakie informacje zawierają logi systemowe

Analiza logów polega na uporządkowanym badaniu zapisów zdarzeń generowanych przez system operacyjny, sterowniki, aplikacje oraz urządzenia współpracujące z komputerem. Pojedynczy wpis może zawierać datę i godzinę zdarzenia, nazwę procesu, identyfikator użytkownika lub sesji, poziom ważności oraz opis wykonanej operacji. W zależności od źródła log może również wskazywać kod błędu, nazwę pliku, modułu, urządzenia albo adres usługi, z którą komputer próbował się połączyć. Sam fakt wystąpienia wpisu ostrzegawczego nie zawsze oznacza awarię, dlatego znaczenie zdarzenia ocenia się w odniesieniu do czasu, częstotliwości i sytuacji, w której zostało zarejestrowane.

W systemie Windows często analizuje się dzienniki dostępne w Podglądzie zdarzeń, między innymi dzienniki System, Application oraz Security. W systemach Linux i innych systemach uniksowych informacje mogą być zapisywane w plikach tekstowych, na przykład w katalogu /var/log, albo obsługiwane przez dziennik systemowy dostępny za pomocą polecenia journalctl. Programy mogą prowadzić własne logi, niezależne od dziennika systemu. Różnią się one formatem, zakresem informacji i sposobem rotacji, czyli automatycznego tworzenia kolejnych plików po osiągnięciu określonego rozmiaru lub wieku.

Łączenie zdarzeń w chronologię problemu

Pojedynczy komunikat rzadko wystarcza do ustalenia przyczyny usterki. Przydatniejsza jest chronologia: pierwsze ostrzeżenie, wystąpienie błędu, ponowienie operacji, zakończenie procesu oraz ewentualny restart systemu lub urządzenia. Jeżeli komputer traci połączenie z dyskiem, w logach mogą pojawić się najpierw opóźnienia operacji wejścia i wyjścia, później błędy sterownika, a następnie komunikaty aplikacji informujące o braku dostępu do pliku. Taki ciąg zdarzeń daje więcej informacji niż sam końcowy komunikat programu.

Podczas interpretacji trzeba odróżnić przyczynę od skutku. Aplikacja może zgłaszać błąd odczytu konfiguracji, chociaż rzeczywistym źródłem problemu jest wcześniejsze zamknięcie procesu, brak uprawnień do pliku albo niedostępny nośnik danych. Znaczenie ma także powtarzalność wpisów. Błąd występujący wyłącznie podczas uruchamiania konkretnej aplikacji wskazuje inny kierunek niż ten sam błąd rejestrowany przez wiele programów w czasie przeciążenia procesora, pamięci operacyjnej lub dysku. Warto zestawiać czas zdarzeń z objawami zgłaszanymi przez użytkownika, takimi jak zawieszanie programu, samoczynny restart, spowolnienie pracy czy utrata połączenia sieciowego.

Filtrowanie i weryfikacja podejrzanych wpisów

Duże dzienniki zawierają zarówno informacje diagnostyczne, jak i zdarzenia rutynowe. Dlatego analiza rozpoczyna się od ograniczenia zakresu czasu, wybrania źródła wpisów oraz odfiltrowania poziomu ważności, na przykład błędów i ostrzeżeń. Następnie porównuje się identyfikatory zdarzeń, kody błędów, nazwy usług i częstotliwość występowania. Warto sprawdzić, czy komunikat pojawił się przed awarią, w jej trakcie, czy dopiero po ponownym uruchomieniu systemu. Powtarzający się wpis może oznaczać rzeczywistą usterkę, ale może też wynikać z błędnej konfiguracji, która generuje niegroźne komunikaty przy każdej próbie wykonania określonej czynności.

Log nie jest samodzielnym dowodem uszkodzenia konkretnego podzespołu. Komunikat sterownika grafiki może być związany z oprogramowaniem, temperaturą, niestabilnym zasilaniem albo uszkodzeniem pamięci karty, a wpis dotyczący dysku może wynikać z kabla, kontrolera, systemu plików lub samego nośnika. Z tego powodu podejrzane zdarzenia należy weryfikować testami odpowiednimi dla danego obszaru: sprawdzeniem stanu urządzenia, odczytem parametrów sprzętowych, testem pamięci, kontrolą systemu plików albo obserwacją zachowania komputera po zmianie konfiguracji. Ważne jest zachowanie oryginalnego czasu zdarzeń i pełnego tekstu komunikatu, ponieważ skrócony opis może pomijać dane potrzebne do dalszego rozpoznania.

Wykorzystanie analizy logów przy naprawie komputera

W praktyce analiza logów pomaga ustalić, czy zgłaszany problem jest związany z systemem, aplikacją, sterownikiem, urządzeniem peryferyjnym lub podzespołem komputera. Może wskazać moment rozpoczęcia awarii, ujawnić cykliczne restarty usługi, pokazać nieudane aktualizacje albo potwierdzić, że program kończy pracę po określonym typie błędu. Przydatne bywa porównanie logów sprzed i po wystąpieniu problemu, a także sprawdzenie, czy zdarzenie pojawia się po każdym uruchomieniu, tylko pod obciążeniem, czy sporadycznie. Takie informacje ułatwiają dobór dalszych czynności i ograniczają wymianę sprawnych części na podstawie samego przypuszczenia.

Warszawskie Pogotowie Komputerowe wykonuje naprawę laptopów, komputerów PC i ich podzespołów, wykorzystując analizę logów jako jeden z elementów rozpoznania przyczyn nieprawidłowego działania. Wnioski z dzienników są zestawiane z objawami, stanem systemu oraz wynikami testów sprzętowych. Dzięki temu można rozdzielić błąd możliwy do usunięcia przez konfigurację lub reinstalację oprogramowania od sytuacji, w której potrzebna jest naprawa albo wymiana konkretnego podzespołu. W przypadku problemów z uruchamianiem, zawieszaniem aplikacji, restartami lub niestabilną pracą komputera zachowanie komunikatów z logów może ułatwić odtworzenie przebiegu usterki i ocenę wykonanych wcześniej zmian.