Event Viewer – logi usług

Event Viewer wykorzystywany do przeglądu logów usług umożliwia weryfikację stanu poszczególnych komponentów systemowych.

Event Viewer jako mapa stanu usług systemu Windows

Event Viewer, czyli Podgląd zdarzeń systemu Windows, gromadzi informacje o działaniu usług, sterowników, aplikacji i pozostałych składników systemu. W przypadku usług szczególne znaczenie ma dziennik System, ponieważ zapisują w nim zdarzenia między innymi mechanizmy odpowiedzialne za uruchamianie, zatrzymywanie i nadzorowanie usług. Wpis nie pokazuje samej usługi w postaci aktywnego panelu sterowania, lecz rejestruje zdarzenie, które wystąpiło w określonym czasie. Dzięki temu można ustalić, czy usługa została uruchomiona, zatrzymana, zakończyła pracę nieoczekiwanie albo zmieniła tryb startu.

Logi usług mogą być również dostępne w gałęzi Applications and Services Logs. W tej części system Windows oraz poszczególne składniki zapisują bardziej szczegółowe informacje dotyczące konkretnych mechanizmów. Lokalizacja zależy od tego, który komponent wygenerował zdarzenie. Podczas analizy trzeba więc sprawdzić nie tylko dziennik System, lecz także źródło wpisu, nazwę dostawcy zdarzenia i kanał, w którym informacja została zapisana. Samo wystąpienie ostrzeżenia nie oznacza jeszcze awarii. Istotne są czas, częstotliwość, kolejność zdarzeń i zgodność wpisów z rzeczywistym zachowaniem systemu.

Źródło Service Control Manager i identyfikatory zdarzeń

W dzienniku System wiele wpisów dotyczących usług ma źródło Service Control Manager. Jest to składnik systemu Windows nadzorujący usługi oraz ich zależności. Identyfikator zdarzenia pomaga określić rodzaj problemu, ale nie zastępuje pełnego odczytania komunikatu i danych zdarzenia. Przykładowo zdarzenie 7036 informuje o przejściu usługi do określonego stanu, takiego jak uruchomienie albo zatrzymanie. Zdarzenie 7031 oznacza nieoczekiwane zakończenie usługi, a 7034 wskazuje, że usługa zakończyła działanie w sposób nieoczekiwany.

Zdarzenie 7040 dotyczy zmiany typu uruchamiania usługi, na przykład z automatycznego na ręczny. Zdarzenie 7045 informuje o zainstalowaniu nowej usługi w systemie. Takie wpisy wymagają interpretacji w kontekście wykonywanych czynności: aktualizacji programu, instalacji sterownika, konfiguracji zabezpieczeń lub zmiany ustawień systemu. Wpis 7045 nie jest sam w sobie dowodem szkodliwego działania, podobnie jak zdarzenie 7036 nie potwierdza poprawności całego procesu uruchamiania. Należy sprawdzić nazwę usługi, plik wykonywalny, konto używane przez usługę oraz powiązane zdarzenia.

Filtrowanie, szczegóły wpisu i korelacja w czasie

W Podglądzie zdarzeń można ograniczyć widok do wybranego dziennika, poziomu ważności, źródła, identyfikatora zdarzenia i przedziału czasu. Filtrowanie po źródle Service Control Manager oraz identyfikatorach takich jak 7031, 7034, 7036, 7040 i 7045 ułatwia odnalezienie informacji związanych z usługami. Po otwarciu wpisu dostępne są między innymi poziom zdarzenia, data i godzina, nazwa dziennika, źródło, identyfikator oraz opis. Zakładka Details może pokazać dane w widoku przyjaznym dla użytkownika albo w formacie XML, zawierającym pola użyte do dokładniejszego filtrowania.

Najbardziej użyteczna jest analiza sekwencji zdarzeń. Jeżeli aplikacja przestaje działać, a chwilę później usługa zostaje zatrzymana, log może wskazać korelację czasową, ale nie musi wyjaśniać przyczyny. Warto porównać wpisy z dziennika System z dziennikiem Application oraz z informacjami o aktualizacji, sterowniku lub błędzie konkretnego programu. Pomocne są także polecenia systemowe. eventvwr.msc otwiera graficzny Podgląd zdarzeń, natomiast PowerShell umożliwia wyszukiwanie wpisów przez Get-WinEvent. Do odczytu dziennika System z wiersza poleceń można użyć wevtutil qe System. Narzędzia te odczytują rejestr zdarzeń, lecz nie naprawiają usługi i nie powinny być traktowane jako automatyczny dowód źródła usterki.

Wykorzystanie logów usług podczas naprawy komputera

Przy diagnostyce laptopa lub komputera PC logi usług pozwalają ustalić, czy problem pojawia się przy starcie systemu, logowaniu użytkownika, uruchamianiu programu albo wykonywaniu konkretnej operacji. Powtarzające się nieoczekiwane zakończenia mogą wskazywać na uszkodzenie plików, konflikt zależności, nieprawidłową konfigurację, problem ze sterownikiem albo błędy sprzętowe ujawniające się podczas pracy systemu. Podgląd zdarzeń nie rozstrzyga jednak samodzielnie, która z tych przyczyn występuje. Wynik trzeba zestawić z konfiguracją usług, stanem dysku, pamięcią operacyjną, aktualnością sterowników oraz objawami zgłaszanymi podczas użytkowania.

Warszawskie Pogotowie Komputerowe wykonuje profesjonalną naprawę laptopów, komputerów PC i ich podzespołów, a analiza wpisów Event Viewer może być jednym z elementów oceny problemu z systemem Windows. Przydatne jest przekazanie daty wystąpienia usterki, nazwy usługi, identyfikatora zdarzenia oraz pełnego opisu wpisu. Nie należy usuwać dzienników przed zakończeniem diagnostyki, ponieważ ich wyczyszczenie może utrudnić odtworzenie kolejności zdarzeń. Prawidłowa ocena wymaga odróżnienia informacji pomocniczej od rzeczywistej przyczyny awarii i sprawdzenia, czy błąd powtarza się po ponownym uruchomieniu komputera.