Usługa dziennika zdarzeń nie działa

Usługa dziennika zdarzeń niedziałająca (EventLog) blokuje zapisywanie i przeglądanie logów systemowych w Podglądzie zdarzeń.

Rola usługi EventLog w systemie Windows

Usługa dziennika zdarzeń systemu Windows, występująca pod nazwą usługi EventLog, odpowiada za odbieranie, zapisywanie i udostępnianie zdarzeń generowanych przez system operacyjny oraz uruchomione programy. Zdarzenia mogą dotyczyć między innymi uruchamiania sterowników, błędów aplikacji, logowania użytkownika, zmian konfiguracji, pracy usług systemowych i problemów ze sprzętem. Dane są prezentowane między innymi w przystawce Podgląd zdarzeń, uruchamianej poleceniem eventvwr.msc.

Gdy usługa nie działa, nowe wpisy mogą nie być zapisywane, a Podgląd zdarzeń może wyświetlać komunikat o niedostępności dziennika albo nie otwierać wybranych gałęzi. Utrudnia to ustalenie przyczyny innych usterek, ponieważ logi systemowe często zawierają informacje o kolejności występowania błędów. Sam brak możliwości otwarcia Podglądu zdarzeń nie zawsze oznacza uszkodzenie plików dziennika. Przyczyną może być zatrzymana usługa, błąd jej zależności, uszkodzenie składników systemu, nieprawidłowe uprawnienia lub brak miejsca na dysku.

Objawy zatrzymanego zapisu zdarzeń

Podstawowym objawem jest stan „Zatrzymano” przy usłudze Windows Event Log w konsoli usług systemu Windows, otwieranej poleceniem services.msc. Próba uruchomienia usługi może kończyć się komunikatem systemowym zawierającym numer błędu. W innych przypadkach usługa pozornie uruchamia się, ale po chwili zatrzymuje, ponieważ nie może uzyskać dostępu do pliku dziennika, katalogu systemowego albo wymaganych składników.

Problemy mogą dotyczyć pojedynczego dziennika, na przykład „System”, „Aplikacja” lub „Zabezpieczenia”, albo całego mechanizmu rejestrowania zdarzeń. W Podglądzie zdarzeń widoczne bywają komunikaty o błędzie odczytu pliku .evtx, braku dostępu, nieprawidłowym formacie danych lub niemożności połączenia z usługą. Warto odróżnić tę usterkę od sytuacji, w której Podgląd zdarzeń działa, lecz wyświetla niewiele wpisów z powodu filtrów, wyczyszczenia logów albo ustawionego krótkiego rozmiaru dziennika.

Sprawdzenie konfiguracji i przyczyny awarii

Diagnostyka powinna rozpocząć się od sprawdzenia stanu usługi, typu jej uruchamiania oraz komunikatu zwracanego podczas startu. Istotne jest również sprawdzenie, czy problem występuje po zwykłym uruchomieniu systemu, po aktualizacji, po instalacji sterownika lub po zmianie uprawnień. W konsoli usług nie należy bez potrzeby zmieniać parametrów uruchamiania ani wyłączać innych usług, ponieważ może to utrudnić ustalenie zależności między komponentami.

Do kontroli plików systemu można użyć narzędzia Kontroler plików systemowych, uruchamiając w wierszu polecenia z uprawnieniami administratora polecenie sfc /scannow. Jeżeli system zgłasza problemy z magazynem składników, stosuje się również narzędzie Deployment Image Servicing and Management z poleceniem DISM /Online /Cleanup-Image /RestoreHealth. Narzędzia te nie naprawiają błędnych wpisów aplikacji ani problemów sprzętowych, ale mogą odtworzyć uszkodzone składniki Windows potrzebne do prawidłowej pracy usługi. Należy także sprawdzić wolne miejsce na partycji systemowej oraz stan katalogów, w których przechowywane są dzienniki zdarzeń.

Przywrócenie działania dzienników i dalsza kontrola

Naprawa zależy od ustalonej przyczyny. Jeżeli usługa została tylko zatrzymana, można ją uruchomić z konsoli usług albo poleceniem net start eventlog wykonanym z uprawnieniami administratora. Jeżeli start kończy się błędem, samo ponowne uruchamianie zwykle nie wystarcza. Trzeba sprawdzić komunikat systemowy, dostęp do plików dziennika, uprawnienia katalogów, stan dysku oraz integralność systemu. Plików .evtx nie powinno się usuwać bez kopii i bez ustalenia, czy są potrzebne do późniejszej analizy.

Po przywróceniu usługi należy otworzyć Podgląd zdarzeń, sprawdzić, czy dzienniki „System” i „Aplikacja” przyjmują nowe wpisy, oraz zweryfikować czas ich utworzenia. Pomocne może być polecenie wevtutil el, które wyświetla nazwy zarejestrowanych dzienników, natomiast szczegółowe odczytywanie i czyszczenie logów wymaga ostrożności, ponieważ czyszczenie usuwa zapisane zdarzenia. Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów i komputerów PC, w tym diagnostyką problemów z systemem Windows, usługami systemowymi oraz zapisem zdarzeń potrzebnych do ustalenia przyczyny awarii.