Как проверить журнал событий Windows: подробное руководство

Введение / Зачем это нужно

Журнал событий Windows (Event Viewer) — это встроенный системный инструмент, который записывает информацию о работе операционной системы, установленных приложений и оборудования. Он является первым и основным источником данных при диагностике случайных замедлений, сбоев программ, ошибок входа в систему и неполадок оборудования. Понимание основ работы с Event Viewer позволяет самостоятельно находить причины проблем или предоставить специалисту точные данные (код события, источник, время), что значительно ускоряет процесс решения.

После выполнения этого гайда вы сможете уверенно открывать журнал, находить нужные события, фильтровать их по ключевым параметрам и экспортировать логи для дальнейшего использования.

Требования / Подготовка

Перед началом убедитесь, что:

1. У вас есть учетная запись с правами администратора (особенно для просмотра журналов «Система» и «Безопасность»).
2. Вы работаете на Windows 10 или Windows 11. Интерфейс и пути практически идентичны.
3. Проблема, которую вы хотите исследовать, уже произошла или происходит в системе. Старайтесь действовать сразу после возникновения ошибки, чтобы события не были перезаписаны.

Пошаговая инструкция

Шаг 1: Открыть Журнал событий

Существует несколько быстрых способов запустить eventvwr.msc:

• Современный (рекомендуется): Нажмите Win + R, введите eventvwr.msc и нажмите Enter.
• Через поиск: В меню «Пуск» начните вводить «Журнал событий» и выберите найденное приложение.
• Через панель управления: Откройте «Панель управления» → «Администрирование» → «Журнал событий».

Откроется окно Просмотр событий с древовидной структурой слева.

Шаг 2: Изучить структуру журналов

В левой части окна разверните узел Журналы Windows. Вы увидите три основных категории:

• Приложение: События от установленных программ (например, Microsoft Office, браузеров, игр). Ошибки здесь часто связаны с конкретным ПО.
• Система: События от драйверов оборудования и ядра Windows. Здесь фиксируются сбои служб, проблемы с загрузкой драйверов, ошибки диска.
• Безопасность: События, связанные с аудитом (вход в систему, доступ к файлам). Требует прав администратора для полного просмотра.

Также могут присутствовать журналы от сторонних приложений (например, .NET Runtime, Microsoft-Windows-PowerShell).

Шаг 3: Отфильтровать события для поиска

Чтобы не просматривать тысячи записей вручную, используйте фильтр:

1. Выберите нужный журнал (например, Система).
2. В правой панели «Действия» кликните Фильтр текущего журнала.
3. В открывшемся окне настройте параметры:
   • Уровень: Чаще всего ищут Ошибка и/или Предупреждение. Событие Информация обычно избыточно.
   • Код события: Если известен числовой код ошибки (например, 1001), введите его. Можно использовать диапазоны.
   • Время: Укажите интересующий период (например, «последние 24 часа» или точные даты).
   • Источник: Фильтрует по компоненту, сгенерировавшему событие (например, Disk, Service Control Manager, Winlogon).
4. Нажмите ОК. Список событий будет перефильтрован.

Шаг 4: Проанализировать найденное событие

Найденное событие нужно «прочитать». Для этого:

1. Дважды кликните на строку с событием в центральной панели.
2. Откроется окно Свойства события.
3. Ключевые поля для анализа:
   • Уровень: Ошибка (Error), Предупреждение (Warning), Информация (Information).
   • Источник: Название модуля или службы, вызвавшей запись (например, Service Control Manager).
   • Код события: Числовой идентификатор (например, 7031, 41). Это самый важный параметр для поиска решения в интернете.
   • Описание: Текстовое описание ошибки. Часто содержит технические детали, имена файлов или служб.
   • Данные события: Дополнительныеhex-данные, которые могут понадобиться разработчикам.

Совет: Скопируйте Код события и Источник, введите в поиске FixPedia или Google в формате: "Код события" Windows "Источник" (например: "7031" Windows "Service Control Manager").

Шаг 5: Экспортировать журнал или событие

Для сохранения лога или отправки технической поддержке:

• Экспорт всего отфильтрованного журнала:
  1. Убедитесь, что нужный журнал выбран в дереве слева.
  2. В меню Действия выберите Сохранить все события как....
  3. Укажите имя файла и сохраните в формате .evtx. Этот файл можно открыть на другом компьютере с Windows.
• Копирование отдельного события:
  1. Выделите событие в списке.
  2. Нажмите Ctrl+C или в меню Действия выберите Копировать.
  3. Вставьте (Ctrl+V) в текстовый редактор (Блокнот, Notepad++). Вы получите все детали события в удобочитаемом текстовом виде.

Проверка результата

Вы успешно проверили журнал событий, если:

1. Вы смогли открыть Просмотр событий и увидели список журналов.
2. С помощью фильтра нашли хотя бы одно событие с уровнем Ошибка или Предупреждение за последние 24 часа.
3. Идентифицировали Код события и Источник для интересующей вас проблемы.
4. Умеете экспортировать данные (скопировать одно событие или сохранить весь журнал).

Если ни одного события уровня «Ошибка» не найдено, проблема может быть несистемной (настройки ПО, сетевые проблемы) или уже исправлена после перезагрузки.

Возможные проблемы

• «Доступ запрещен» при открытии журналов «Система» или «Безопасность».
  • Решение: Запустите «Просмотр событий» от имени администратора (найдите eventvwr.msc в меню Пуск, нажмите правой кнопкой → «Запуск от имени администратора»).
• Журнал пустой или содержит очень мало записей.
  • Причина: Политика сохранения журналов может быть настроена на «Перезаписывать события по истечении...» и старые записи уже удалены. Также события могут записываться только при включенном конкретном компоненте (например, аудит входа).
  • Решение: Настройте параметры ведения журнала: щелкните правой кнопкой мыши на журнале → «Свойства». Увеличьте размер журнала или измените политику перезаписи.
• Не могу найти событие по известному коду.
  • Причина: Фильтр настроен неправильно (например, указан неверный журнал или уровень события).
  • Решение: Сначала выберите правильный журнал (Приложение или Система). Уберите фильтр по уровню или установите «Критический» и «Ошибка». В поле Код события введите только числовое значение, без слов.
• Событие есть, но описание неясное или на английском.
  • Решение: Используйте код события и источник для поиска в интернете. Добавьте в запрос слово windows и вашу версию ОС. Многие коды событий задокументированы в Microsoft Docs.