Под капотом компьютера с Windows происходит многое . С помощью средства просмотра событий^{(Event Viewer)} можно отслеживать процессы Windows^{(track Windows processes)} , помогая диагностировать надоедливые проблемы без очевидной причины.

Однако средство просмотра событий^{(Event Viewer)} может сбивать с толку из-за устаревшего пользовательского интерфейса и плохого макета. Вот руководство по навигации в средстве просмотра событий^{(Event Viewer)} для устранения любых проблем с Windows .

Начало работы со средством просмотра событий^{(Event Viewer)}

Операционная система Windows «^{(Windows Operating System “)} регистрирует » каждое значительное действие во время работы. Средство просмотра событий^{(Event Viewer)} — это просто приложение, которое помогает вам получать доступ к этим журналам и читать их^{(read these logs)} в одном месте, вместо того, чтобы вручную открывать каждый текстовый файл в проводнике Windows^{(Windows Explorer)} .

Откройте средство просмотра событий^{(Event Viewer)} , выполнив поиск приложения в меню « Пуск^{(Start Menu)} » .

Разверните приложение, как только оно откроется, потому что вам нужен полноэкранный режим, чтобы увидеть всю доступную информацию.

Понимание интерфейса

Event Viewer не имеет интуитивно понятного интерфейса. Поначалу этот инструмент может немного сбивать с толку, поэтому давайте рассмотрим все элементы один за другим.

Левая панель

Запустив Event Viewer , вы заметите, что окно разделено на три панели. В левой части события классифицируются в представлении папок, что позволяет быстро перейти к определенному типу журналов событий.

Существует четыре основных типа журналов:

Пользовательские^(Custom) представления. Категория « Пользовательские^(Custom) представления», как следует из названия, позволяет создавать настраиваемые выборки журналов вместо того, чтобы придерживаться стандартных категорий. Например, представление «Административные события» по умолчанию собирает критические^(Critical) события , ошибки^(Error) и предупреждения из всех административных журналов.

Журналы Windows^(Windows) : эта папка содержит все журналы, относящиеся к системным службам Windows . Это не особенно полезно, если вы не хотите подробно изучить, как работает ОС.

Журналы приложений и служб^(Services) . Эти журналы генерируются всеми видами служб, от некритических служб Windows до сторонних приложений. Вам не нужно просматривать этот список, так как все ошибки и предупреждения уже собраны в представлении «Административные события».

Подписки: эта категория недоступна по умолчанию и в большинстве случаев не нужна. Его можно использовать только для сбора событий с удаленных компьютеров, что делает его продвинутым инструментом системного администрирования.

Средняя панель

Вот где на самом деле перечислены журналы. По умолчанию он отображает обзор^(Overview) и сводку^(Summary) событий, а не какую-либо конкретную категорию.

Первый раздел (и, возможно, самый важный) — это сводка^(Summary) административных событий. В нем перечислены важные системные события за последнюю неделю, что дает вам представление о состоянии системы. События также классифицируются по временным рамкам на почасовой, ежедневной и еженедельной основе.

В этом разделе есть пять типов событий:

Критический: в этой категории возникают любые серьезные системные проблемы. В исправно работающем компьютере эта категория должна быть пустой, но если вы заметили событие такого типа, обратите на него внимание.
Ошибка: На любом исправном компьютере есть ошибки. Тот факт, что в этой категории перечислены события, не обязательно означает, что что-то не так. Это проблема, только если одна и та же ошибка появляется часто ежедневно.
Предупреждение. Предупреждения генерируются, когда что-то еще не пошло не так, но могут указывать на возможную проблему. Это включает в себя такие вещи, как нехватка места на диске или неправильно настроенные драйверы.
Информация: Этот совершенно безвреден, так как отмечает все успешные операции на компьютере. Источником обычно являются системные службы, хотя часто появляются и приложения безопасности.
Аудит успеха^{(Audit Success)} : этот тип события генерируется каждый раз, когда попытка аутентификации успешна. Это включает в себя входы в систему и другие меры безопасности, поэтому не пугайтесь, если вы найдете несколько экземпляров в каждом временном интервале.
Ошибка аудита: как следует из названия, этот тип события включает неудачные попытки проверки подлинности. Это хороший способ узнать, пытался ли кто-нибудь получить доступ к вашему ПК через сетевое соединение или прямой вход в систему.

Правая панель

Правая панель окна содержит все действия, которые вы можете выполнить для выбранного элемента. Действия меняются в зависимости от того, выбрана ли у вас папка или событие.

Вы можете создать настраиваемое представление^{(Custom View)} , просмотреть свойства^(Properties) журнала или сохранить^(Save) выбранные события, чтобы просмотреть их позже, помимо других действий.

Как читать журналы событий

Открыть представление и просмотреть журналы событий достаточно просто, но как разобраться во всей этой информации? Вот разбивка.

Когда вы выбираете событие, открывается вкладка « Общие », отображающая краткую сводку об ошибке, за которой следует набор информационных полей:^(General)

Имя журнала: имя журнала, которому принадлежит событие. В основном полезно для идентификации службы Windows , в которой произошло событие.
Источник: обычно совпадает с именем журнала, так как в нем указано исходное приложение события.
Идентификатор события: Каждое событие имеет уникальный идентификатор события. Этот идентификатор помогает отличить конкретное событие от других событий аналогичного характера, даже если они генерируются одним и тем же процессом.
Уровень: это тег, определяющий уровень приоритета события. Вы уже видели такие теги, как Error и Critical в административном представлении^{(Administrative View)} , и именно из этого поля они взяты.
Пользователь^(User) : учетная запись пользователя^(User) , сгенерировавшая событие. Полезно при диагностике проблем в многопользовательских системах.
OP Code : это поле должно идентифицировать активность рассматриваемого процесса до того, как событие было инициировано, но на практике почти всегда по умолчанию используется значение Info .
Зарегистрировано: временная метка события, включая дату.
Категория задачи^{(Task Category)} : еще одно поле, предназначенное для предоставления дополнительной информации об исходном процессе, хотя в основном оставленное пустым.
Компьютер^(Computer) : имя ПК, создавшего событие. Бесполезно, когда вы работаете с одной системой, но важно, когда имеете дело с событиями, пересылаемыми с сетевого компьютера.

Это может показаться большим объемом информации, но вам не нужно читать все поля. Наиболее важными полями являются Level и Source .

С помощью Level вы можете определить серьезность события ( наиболее важными являются критические события), а ^(Critical)Source информирует вас об исходном приложении или компоненте. Это позволяет найти и убить проблемный процесс^{(kill the problematic process)} .

Как решить проблемы Windows^{(Troubleshoot Windows Problems)} с помощью средства просмотра событий^{(Event Viewer)} ?

Когда вы страдаете от внезапного сбоя системы, вашей первой остановкой должно быть средство просмотра событий^{(Event Viewer)} . Запустите административный вид^{(Administrative View)} и проверьте наличие критических событий.

Поскольку фатальные системные сбои всегда вызывают критическое событие, это поможет вам быстро обнулить неисправный процесс и начать поиск исправления^{(zero down on the errant process and start looking for a fix)} . В зависимости от задействованного компонента Windows исправление может быть таким же простым, как обновление драйверов или запуск ^(Windows)SFC из командной строки^{(Command Prompt)} .

Для более мелких проблем вам, возможно, придется пройти через события ошибок . ^(Error)Это помогает, если вы знаете, какое приложение или функция работает неправильно, поскольку даже исправная система генерирует некоторые ошибки.

How to Use Event Viewer to Troubleshoot Windows Problems

There is a lot going under thе hood of a Windоws cоmputer. Using the Event Viewer, it’s possible to track Windows processes, helping you diagnose pesky problems without an obvious cause.

The Event Viewer can be confusing to use, however, owing to its outdated UI and poor layout. Here is a guide on navigating the Event Viewer to troubleshoot any Windows issues.

Getting Started With the Event Viewer

The Windows Operating System “logs” every significant activity while it runs. The Event Viewer is just an app that helps you access and read these logs in one place, rather than manually opening each text file in Windows Explorer.

Open Event Viewer by searching for the app in the Start Menu.

Maximize the app as soon as it opens, because you need the full-screen view to see all the information available.

Understanding the Interface

Event Viewer doesn’t exactly have an intuitive interface. The tool can be a bit confusing at first, so let’s go over all the elements one by one.

Left Pane

On running Event Viewer, you will notice that the window is divided into three panes. The left side categorizes the events in a folder view, letting you quickly navigate to a particular type of event logs.

There are four main types of logs:

Custom Views: The Custom views category, as the name suggests, lets you create custom log selections instead of sticking with the standard categories. For example, the default Administrative Events view collects the Critical, Error, and Warning events from all administrative logs.

Windows Logs: This folder includes all logs concerning Windows system services. It’s not particularly useful unless you want a detailed look at how the OS is operating.

Applications and Services Logs: These logs are generated by all kinds of services, from non-critical Windows services to third-party applications. You don’t need to trawl through this list as any errors and warnings are already collected in the Administrative Events view.

Subscriptions: This category is not available by default, and is unnecessary in most cases. Its only use is to collect events from remote computers, making it an advanced system administration tool.

Middle Pane

This is where the logs are actually listed. By default, it displays an Overview and Summary of events, rather than any specific category.

The first section (and probably the most important) is the Summary of Administrative Events. It lists crucial system events in the past week, giving you a quick glimpse of the system’s health. The events are also classified by their timeframes on an hourly, daily, and weekly basis.

There are five event types in this section:

Critical: Any major system issues crop up in this category. In a properly functioning computer this category should be empty, but if you spot an event of this type, pay attention to it.
Error: There are errors in any functional computer. Just because there are events listed in this category does not mean something is necessarily wrong. It is a problem only if the same error shows up frequently on a daily basis.
Warning: Warnings are generated when something hasn’t really gone wrong yet, but might indicate a possible issue. This includes things like low disk space, or improperly configured drivers.
Information: This one is completely harmless, as it notes all successful operations on the computer. The source is usually system services, though security applications often show up as well.
Audit Success: This type of event is generated whenever an authentication attempt is successful. This includes logins and other security measures, so don’t be alarmed to find multiple instances in every timeframe.
Audit Failure: As the name suggests, this event type includes failed authentication attempts. This is a good way to see if anyone has tried gaining access to your PC, either through a network connection or a direct login.

Right Pane

The right panel of the window contains all actions you can take for a selected item. The actions change based on whether you have a folder selected or an event.

You can Create a Custom View, view the Properties of a log, or Save Selected Events to view them later, among other actions.

How to Read Event Logs

Opening a view and going through the event logs is simple enough, but how do you make sense of all that information? Here’s a breakdown.

When you select an event, the General tab opens up, displaying a short summary of the error followed by a bunch of information fields:

Log Name: The name of the log the event belongs to. Mostly useful to identify the Windows service under which the event occurred.
Source: Usually the same as the log name, as it lists the source application of the event.
Event ID: Each event has a unique event ID. This ID helps identify a specific event from other events of a similar nature, even when they are generated from the same process.
Level: This is the tag that decides the priority level of the event. You have already seen tags like Error and Critical in the Administrative View, and this field is where they are taken from.
User: The User account that generated the event. Useful in diagnosing problems in multi-user systems.
OP Code: This field is supposed to identify the activity of the process in question before the event was triggered, but in practice almost always defaults to Info.
Logged: The timestamp of the event, including the date as well.
Task Category: Another field supposed to provide additional information about the originating process, though mostly left empty.
Computer: The name of the PC that created the event. Useless when you are working with a single system, but crucial when dealing with events forwarded from a network computer.

That may seem like a lot of information to take in, but you don’t need to read through all the fields. The most important fields are Level and Source.

With Level, you can tell how serious the event is (with Critical events being most important) and Source informs you of the originating app or component. This lets you find and kill the problematic process.

How to Troubleshoot Windows Problems With the Event Viewer?

When you suffer a sudden system crash, your first stop should be the Event Viewer. Run the Administrative View and check for any Critical events.

As fatal system crashes always generate a critical event, this helps you quickly zero down on the errant process and start looking for a fix. Depending on the Windows component involved, the fix might be as simple as updating drivers or running SFC from the Command Prompt.

For smaller issues, you may have to go through the Error events as well. It helps if you know which app or feature is misbehaving, as even a healthy system generates some errors.

Майя Кузнецова

About the author

Я инженер-программист с более чем 10-летним опытом работы в индустрии Xbox. Я специализируюсь на разработке игр и тестировании безопасности. Я также являюсь опытным обозревателем и работал над проектами для некоторых из самых известных игровых компаний, включая Ubisoft, Microsoft и Sony. В свободное время я люблю играть в видеоигры и смотреть сериалы.

Как использовать средство просмотра событий для устранения неполадок Windows

Начало работы со средством просмотра событий^{(Event Viewer)}