Log systemowy Windows

Log systemowy Windows to dziennik rejestrujący zdarzenia komponentów systemu operacyjnego i sterowników.

Co zapisuje dziennik System w Windows

Log systemowy Windows jest częścią usługi Windows Event Log i gromadzi informacje o zdarzeniach generowanych przez system operacyjny, sterowniki oraz wybrane składniki sprzętowe i programowe. W Podglądzie zdarzeń znajduje się przede wszystkim w gałęzi „Dzienniki systemu Windows” pod nazwą „System”. Wpis może informować o poprawnym uruchomieniu usługi, wykryciu urządzenia, błędzie sterownika, problemie z dyskiem, utracie łączności z urządzeniem albo nieprawidłowym zamknięciu systemu.

Pliki dzienników zdarzeń mają zwykle format EVTX i są przechowywane w katalogu %SystemRoot%\System32\winevt\Logs. Lokalizacja ta dotyczy również dziennika System, którego plik ma nazwę zależną od konfiguracji systemu, zazwyczaj System.evtx. Użytkownik nie powinien traktować samego numeru zdarzenia jako pełnej diagnozy. Znaczenie wpisu zależy także od dostawcy, poziomu zdarzenia, czasu wystąpienia, treści komunikatu, identyfikatorów urządzeń oraz wpisów sąsiadujących czasowo.

Wpis zdarzenia może mieć poziom Informacje, Ostrzeżenie, Błąd albo Krytyczne. Poziom określa klasyfikację nadaną przez komponent, który zapisał komunikat, ale nie zawsze opisuje rozmiar skutków dla użytkownika. Ostrzeżenie dotyczące chwilowego problemu z urządzeniem może być nieistotne, natomiast zdarzenie informacyjne zapisane tuż przed awarią może dostarczać ważnej wskazówki. Przy analizie warto porównywać powtarzalność wpisów, ich kolejność i zgodność z momentem wystąpienia objawu.

Odczyt wpisów w Podglądzie zdarzeń i konsoli

Podstawowym narzędziem graficznym jest Podgląd zdarzeń, uruchamiany poleceniem eventvwr.msc. Po wybraniu dziennika „System” można filtrować wpisy według poziomu, źródła, identyfikatora zdarzenia i przedziału czasu. Przydatny jest także widok „Szczegóły”, w którym można przełączyć prezentację z formatu przyjaznego dla użytkownika na dane XML. XML zawiera między innymi nazwę dostawcy, identyfikator zdarzenia, wersję definicji, poziom, zadanie, słowa kluczowe, znacznik czasu i identyfikator procesu lub wątku, jeżeli komponent go udostępnia.

Do odczytu zdarzeń z wiersza polecenia służy narzędzie wevtutil. Przykładowe polecenie wevtutil qe System /c:20 /rd:true /f:text wyświetla dwadzieścia najnowszych wpisów dziennika System w formie tekstowej. Parametr /rd:true powoduje odczyt w kolejności od najnowszych zdarzeń. W PowerShell można użyć polecenia Get-WinEvent -LogName System -MaxEvents 20, a następnie ograniczyć wynik przez Where-Object lub zastosować filtr hashtable, na przykład według identyfikatora zdarzenia i czasu.

W praktyce diagnostycznej należy zapisać nie tylko numer Event ID, lecz cały wpis albo jego eksport do pliku EVTX. Ten sam identyfikator może pojawić się w wielu wersjach Windows i z innymi szczegółami w zależności od sterownika lub urządzenia. Warto odnotować nazwę źródła, opis błędu, kod statusu, nazwę sterownika oraz czas w UTC lub w lokalnej strefie czasowej. Ułatwia to zestawienie logu z harmonogramem restartów, zawieszania się komputera, zaniku obrazu lub odłączenia urządzenia USB.

Identyfikatory przydatne przy awariach i restartach

Przy nagłym wyłączeniu lub ponownym uruchomieniu często analizuje się zdarzenie 41 źródła Kernel-Power. Oznacza ono, że system został uruchomiony ponownie bez wcześniejszego pełnego zamknięcia, ale samo zdarzenie nie wskazuje jednoznacznie przyczyny. Może pojawić się po zaniku zasilania, wymuszonym resecie, zawieszeniu wymagającym użycia przycisku zasilania albo awarii sprzętowej. Dodatkowe pola, takie jak BugcheckCode, PowerButtonTimestamp i informacje o stanie uśpienia, pomagają ustalić, czy Windows zarejestrował zatrzymanie systemu.

Zdarzenie 6008 pochodzące ze źródła EventLog informuje o nieoczekiwanym zamknięciu systemu. Jest skutkiem wcześniejszego nieprawidłowego zakończenia sesji, a nie bezpośrednim dowodem uszkodzenia konkretnego podzespołu. Jeżeli komputer wyświetlił niebieski ekran, w dzienniku mogą wystąpić również informacje o błędzie zatrzymania, a szczegóły można zestawić z plikami zrzutu pamięci. Przy problemach z usługami przydatne są wpisy źródła Service Control Manager, które mogą wskazywać nieudane uruchomienie, zatrzymanie albo przekroczenie limitu czasu startu usługi.

Log System bywa także pomocny przy analizie błędów urządzeń magazynujących, kontrolerów, grafiki i sieci, lecz interpretacja zależy od źródła zdarzenia. Wpis z dostawcą storahci, stornvme, disk, volmgr, Display albo sterownikiem producenta wymaga sprawdzenia pełnego opisu oraz konfiguracji danego komputera. Powtarzające się ostrzeżenia dotyczące resetowania urządzenia lub błędów wejścia-wyjścia mogą wskazywać na problem z połączeniem, sterownikiem, zasilaniem albo samym podzespołem. Log nie zastępuje testu sprzętu, odczytu parametrów SMART ani kontroli temperatury, ale pomaga wybrać właściwy moment i obszar dalszej diagnostyki.

Jak wykorzystać log systemowy podczas naprawy komputera

Przed czyszczeniem dziennika lub zmianą jego konfiguracji należy zabezpieczyć istotne wpisy. Usunięcie zdarzeń może utrudnić odtworzenie przebiegu awarii, zwłaszcza gdy problem występuje nieregularnie. W Podglądzie zdarzeń można użyć funkcji „Zapisz wszystkie zdarzenia jako…”, a z poziomu konsoli wyeksportować dziennik poleceniem wevtutil epl System System.evtx. Plik powinien zostać zapisany w lokalizacji z wystarczającą ilością wolnego miejsca, a jego nazwa powinna zawierać datę i identyfikację komputera.

Podczas serwisowania warto skorelować zdarzenia z opisem użytkownika: dokładną godziną wystąpienia objawu, wykonywaną operacją, stanem zasilania, podłączeniem urządzeń i ewentualnym wcześniejszym instalowaniem sterowników. Jeżeli wpisy powtarzają się po każdym uruchomieniu, można porównać ich czasy z logami innych dzienników oraz z Menedżerem urządzeń. Jeżeli pojawiają się wyłącznie po wybudzeniu, należy uwzględnić mechanizmy zasilania i sterowniki urządzeń aktywowanych po wznowieniu pracy. Taka analiza ogranicza ryzyko wymiany sprawnego elementu na podstawie pojedynczego, niespecyficznego komunikatu.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i ich podzespołów, a log systemowy Windows może być jednym z materiałów wykorzystywanych przy ocenie restartów, błędów sterowników oraz problemów z urządzeniami. W zależności od objawu diagnozę uzupełnia się testami pamięci operacyjnej, dysku, zasilacza, układu chłodzenia lub karty graficznej. Końcowy wniosek powinien wynikać z połączenia komunikatów systemowych z wynikami testów i powtarzalnym odtworzeniem problemu, a nie z samej obecności czerwonej ikony w Podglądzie zdarzeń.