Event Viewer

Event Viewer to narzędzie systemu Windows umożliwiające przegląd dzienników zdarzeń systemowych i aplikacyjnych.

Event Viewer jako dziennik pracy systemu Windows

Event Viewer, w polskiej wersji systemu Windows nazywany Podglądem zdarzeń, służy do odczytywania wpisów tworzonych przez system operacyjny, sterowniki i zainstalowane aplikacje. Nie jest zwykłym plikiem tekstowym z komunikatami, lecz konsolą administracyjną korzystającą z mechanizmu Windows Event Log. Poszczególne programy i składniki systemu zapisują w niej informacje o uruchomieniu, błędach, ostrzeżeniach, zmianach konfiguracji oraz zakończeniu określonych operacji.

Najczęściej analizowane są dzienniki Application, System, Security, Setup i Forwarded Events. Dziennik Application gromadzi zdarzenia aplikacji, System dotyczy między innymi sterowników i usług systemowych, a Security zawiera zdarzenia związane z audytem bezpieczeństwa, jeżeli odpowiednie zasady audytu są włączone. Setup przechowuje informacje dotyczące instalacji i aktualizacji systemu, natomiast Forwarded Events może zawierać zdarzenia przekazane z innych komputerów.

Do uruchomienia konsoli można użyć skrótu eventvwr.msc wpisanego w oknie Uruchamianie albo w wyszukiwarce Windows. Widok drzewa po lewej stronie pozwala przejść do dzienników systemowych, a środkowy panel pokazuje wpisy z wybranej gałęzi. Samo otwarcie Event Viewer nie naprawia problemu i nie oznacza, że każde ostrzeżenie wymaga interwencji. Wpis trzeba interpretować w odniesieniu do czasu wystąpienia, powtarzalności oraz objawu obserwowanego na komputerze.

Jak czytać pojedyncze zdarzenie i jego identyfikator

Każdy wpis ma między innymi nazwę dziennika, źródło lub dostawcę zdarzenia, identyfikator Event ID, poziom ważności, datę i godzinę oraz nazwę komputera. W zależności od rodzaju zdarzenia mogą być również widoczne identyfikatory zadania, słowa kluczowe, kod operacji, identyfikator rekordu i konto, w którego kontekście wykonano operację. Event ID nie jest uniwersalnym kodem błędu dla całego Windows. Ten sam numer może mieć inne znaczenie w zależności od źródła, dlatego zawsze należy analizować go razem z nazwą dostawcy i pełnym opisem.

Poziom Critical oznacza zdarzenie krytyczne, Error błąd, Warning ostrzeżenie, Information informację, a Verbose bardziej szczegółowy zapis diagnostyczny. Poziom jest wskazówką, ale nie zastępuje analizy przyczyny. Przykładowo pojedyncze ostrzeżenie związane z chwilowym opóźnieniem usługi może nie mieć znaczenia dla działania komputera, podczas gdy powtarzające się błędy tego samego dostawcy w czasie zawieszania systemu mogą wskazywać na rzeczywisty problem.

Zakładka General przedstawia opis zdarzenia w formie przeznaczonej dla użytkownika, a zakładka Details pozwala przełączyć się na widok przyjazny dla człowieka lub na dane XML. Widok XML jest przydatny, gdy opis skrócony pomija pola potrzebne do korelacji zdarzeń. Warto zwrócić uwagę na sygnaturę czasu, numer rekordu i dane procesu, ale nie należy traktować samego komunikatu jako ostatecznego dowodu uszkodzenia konkretnego podzespołu. Event Viewer rejestruje skutek lub etap operacji; ustalenie przyczyny wymaga porównania z logami aplikacji, stanem sterowników i zachowaniem urządzenia.

Filtrowanie, korelacja i odczyt z wiersza poleceń

W większym dzienniku ręczne przeglądanie wszystkich wpisów jest mało skuteczne. Event Viewer umożliwia filtrowanie bieżącego dziennika według poziomu, źródła, identyfikatora zdarzenia, użytkownika, komputera oraz przedziału czasu. Dostępna jest także funkcja Find, która wyszukuje tekst w opisach. Przy analizie awarii należy najpierw ustalić dokładny moment jej wystąpienia, a następnie sprawdzić kilka minut przed i po zdarzeniu. Często ważniejszy od ostatniego błędu jest wcześniejszy wpis dotyczący sterownika, usługi, urządzenia magazynującego albo nieudanego uruchomienia komponentu.

Event Viewer pozwala również przechodzić do widoku Custom Views, w którym można zapisywać własne kryteria filtrowania. Dla zaawansowanego odczytu przydatne są narzędzia systemowe. Polecenie wevtutil el wyświetla nazwy dostępnych dzienników, a wevtutil qe System odczytuje zdarzenia z dziennika System. W PowerShell można użyć polecenia Get-WinEvent -LogName System. Filtrowanie po identyfikatorze wymaga zachowania właściwego źródła i zakresu czasu, ponieważ sam numer Event ID może prowadzić do błędnej interpretacji.

Przydatną techniką jest korelacja kilku dzienników. Jeżeli aplikacja przestaje odpowiadać, w Application może pojawić się wpis o zakończeniu procesu, w System zdarzenie dotyczące sterownika lub usługi, a w dzienniku konkretnej aplikacji dodatkowy szczegół techniczny. Zdarzenia mogą też mieć powiązane zadania, które otwierają informacje z Harmonogramu zadań. Eksport wybranych wpisów do formatu .evtx umożliwia zachowanie oryginalnych danych wraz z metadanymi. Kopiowanie samego tekstu opisu może pominąć pola widoczne dopiero w szczegółach XML.

Wykorzystanie Event Viewer przy naprawie komputera

Podgląd zdarzeń jest pomocniczym źródłem informacji podczas diagnozowania laptopa lub komputera PC. Może pomóc ustalić, czy problem pojawia się podczas startu systemu, logowania, wybudzania, instalowania aktualizacji, pracy sterownika, zapisu danych albo zamykania komputera. Przy restartach i niebieskich ekranach istotne jest sprawdzenie zdarzeń zarejestrowanych bezpośrednio przed ponownym uruchomieniem. Przy problemach z programem warto porównać Event ID, nazwę aplikacji i modułu powodującego awarię z wersją programu oraz stanem systemu.

Wnioski z dziennika powinny być ostrożne. Usunięcie wpisów nie usuwa przyczyny awarii, a wyłączenie usługi tylko po to, aby zniknęły komunikaty, może pogorszyć działanie systemu. Trzeba także odróżnić zdarzenia powstałe podczas normalnego uruchamiania od tych, które powtarzają się razem z konkretnym objawem. W razie potrzeby analizę uzupełnia się o sprawdzenie integralności plików systemowych, sterowników, stanu dysku, pamięci operacyjnej i temperatur, dobierając test do zaobserwowanego symptomu.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i ich podzespołów, a dane z Event Viewer mogą stanowić jeden z materiałów pomocnych przy ustalaniu przyczyny usterki. Ostateczna diagnoza powinna uwzględniać nie tylko komunikat systemu Windows, lecz także powtarzalność zdarzeń, konfigurację komputera i wyniki odpowiednich testów.