Usługa rejestrowania błędów (EventLog)

Usługa rejestrowania błędów (EventLog) zapisuje zdarzenia systemowe, aplikacji i zabezpieczeń w Podglądzie zdarzeń.

Rola usługi EventLog w systemie Windows

Usługa rejestrowania błędów, występująca w systemie Windows jako Windows Event Log i kojarzona z procesem svchost.exe, odpowiada za odbieranie, porządkowanie oraz zapisywanie zdarzeń generowanych przez system operacyjny, sterowniki i aplikacje. Zdarzenie może informować o prawidłowym wykonaniu operacji, ostrzegać o możliwym problemie albo opisywać błąd wymagający dalszej analizy. Dane są przechowywane w dziennikach dostępnych między innymi przez aplikację Podgląd zdarzeń.

Standardowa instalacja Windows zawiera dzienniki takie jak Application, System oraz Security. Dziennik Application gromadzi komunikaty programów, System zdarzenia związane z systemem i sterownikami, a Security wpisy dotyczące audytowanych operacji zabezpieczeń. Na komputerze mogą być również dostępne dzienniki dodatkowe, między innymi utworzone przez konkretne składniki systemu, sterowniki lub zainstalowane aplikacje.

Jak odczytywać wpis w Podglądzie zdarzeń

Każdy wpis EventLog ma zestaw pól ułatwiających identyfikację źródła problemu. Szczególnie istotne są: poziom zdarzenia, data i godzina, nazwa dostawcy, identyfikator zdarzenia, identyfikator procesu oraz opis. Poziom Information oznacza komunikat informacyjny, Warning ostrzeżenie, a Error błąd. Wystąpienie pojedynczego błędu nie zawsze oznacza awarię, ponieważ niektóre aplikacje zapisują zdarzenia o niskim znaczeniu diagnostycznym.

Identyfikator zdarzenia, nazywany często Event ID, nie jest samodzielną diagnozą. Ten sam numer może występować w różnych źródłach, dlatego należy analizować go razem z nazwą dostawcy, treścią komunikatu i czasem wystąpienia. Przydatna jest korelacja kilku wpisów: na przykład zdarzenia dotyczącego zatrzymania sterownika, błędu aplikacji i ponownego uruchomienia systemu mogą wskazywać na wspólną sekwencję zdarzeń. W szczegółach wpisu można przełączyć widok na format XML, który pokazuje strukturę komunikatu oraz dodatkowe dane niewidoczne w skróconym opisie.

Filtrowanie i eksport danych z dzienników

Podgląd zdarzeń pozwala filtrować wpisy według poziomu, dziennika, źródła, identyfikatora oraz przedziału czasu. Takie zawężenie jest ważne, gdy system zapisuje dużą liczbę komunikatów. Analizę warto rozpocząć od momentu, w którym pojawił się objaw: zawieszenie aplikacji, nieoczekiwany restart, brak dźwięku, problemy z siecią albo długi czas uruchamiania systemu. Wyszukiwanie wszystkich błędów z wielu miesięcy często prowadzi do błędnych wniosków, ponieważ część wpisów jest historyczna i nie ma związku z aktualną usterką.

Wybrane zdarzenia można zapisać do pliku w formacie .evtx, który zachowuje dane dziennika do późniejszego odczytu w Podglądzie zdarzeń. Dostępne jest także kopiowanie szczegółów wpisu, w tym wersji XML. W środowisku Windows do pracy z dziennikami można używać poleceń wevtutil, na przykład wevtutil qe System do odczytu zdarzeń z dziennika System. Polecenie to nie naprawia problemu; służy do pobierania informacji diagnostycznych. Kasowanie dzienników przed analizą usuwa kontekst potrzebny do ustalenia przyczyny, dlatego nie powinno być pierwszą czynnością.

EventLog jako źródło informacji podczas naprawy

Brak nowych wpisów może wynikać z zatrzymania usługi, uszkodzenia plików dziennika, błędów dysku albo nieprawidłowej konfiguracji składnika zapisującego zdarzenia. Nie każdy problem zostanie jednak odnotowany w EventLog. Awaria sprzętowa może przerwać pracę komputera zanim system zdąży zapisać komunikat, a aplikacja może zakończyć działanie bez utworzenia użytecznego wpisu. Dlatego dane z dzienników należy porównywać z objawami, stanem sterowników, historią aktualizacji oraz wynikami testów sprzętu.

Warszawskie Pogotowie Komputerowe wykonuje profesjonalną diagnostykę i naprawę laptopów, komputerów PC oraz ich podzespołów, wykorzystując wpisy EventLog jako jedno ze źródeł informacji o przebiegu awarii. Analiza obejmuje sprawdzenie czasu wystąpienia błędów, powtarzalności komunikatów i ich związku z działaniem konkretnego programu lub urządzenia. Na tej podstawie można odróżnić błąd aplikacji od problemu sterownika, przeciążenia systemu albo objawu usterki podzespołu, a następnie dobrać dalsze czynności diagnostyczne.