Служба журнала событий Windows не запускается или недоступна
Служба журнала событий Windows поддерживает набор журналов событий, которые система, компоненты системы и приложения используют для записи событий. Служба предоставляет функции, которые позволяют программам вести журналы событий и управлять ими, а также выполнять операции с журналами, такие как архивирование и очистка. Таким образом, администраторы могут вести журналы событий и выполнять административные задачи, требующие прав администратора.
Служба журнала событий Windows не запускается или не работает
По какой-то неизвестной причине, если вы обнаружите, что у вас возникают проблемы с запуском следующего, вполне возможно, что одной из причин может быть то, что служба журнала событий Windows не работает.
Диспетчер задач
Календарь событий Windows
Папки обмена сообщениями
В таком случае вы можете получить сообщения об ошибках, такие как:
Служба журнала событий недоступна. Убедитесь, что служба работает
Windows не удалось запустить службу журнала событий Windows на локальном компьютере
Сначала перезагрузите систему и посмотрите, поможет ли это. Иногда простой перезапуск помогает повторно инициализировать этот сервис. Если журнал событий Windows отображается как запущенный, перезапустите его из диспетчера служб.
Чтобы проверить, запущена или остановлена служба журнала событий Windows, запустите services.msc и нажмите Enter, чтобы открыть диспетчер служб. Здесь снова щелкните правой кнопкой мыши Службу журнала событий Windows и проверьте ее свойства.
Убедитесь, что тип запуска установлен на Автоматически и что службы Запущены ; и что он работает в учетной записи Локальная служба .
Также убедитесь, что на вкладке «Восстановление» во всех трех раскрывающихся списках отображается опция «Перезапустить службу» в случае сбоя. Перезагрузите, если требуется.
Иногда служба журнала событий Windows по-прежнему не запускается, и вместо этого вы можете получить следующее сообщение об ошибке:
Система не может найти указанный файл
В этом случае откройте следующую папку:
C: \ Windows \ System32 \ winevt \ Logs
Эта папка журналов содержит журналы событий в формате .evtx и может быть прочитана только с помощью средства просмотра событий . Дайте этой папке журналов Права на чтение и запись и посмотрите, поможет ли это.
Вы также можете сделать следующее.
Откройте редактор реестра и перейдите к следующему ключу:
HKEY_LOCAL_MACHINE \ SYSTEM \ CurrentControlSet \ Services \ EventLog
Дважды нажмите ObjectName и убедитесь, что его значение установлено в NT AUTHORITY \ LocalService . Если это не так, то измените его.
Если это по-прежнему не помогает, запустите средство проверки системных файлов и просмотрите его журналы.
Как запустить службу журнала событий windows 10
Сообщения: 51909 Благодарности: 14931
Конфигурация компьютера
Материнская плата: ASUS P8Z77-V LE PLUS
HDD: Samsung SSD 850 PRO 256 Гб, WD Green WD20EZRX 2 Тб
Звук: Realtek ALC889 HD Audio
CD/DVD: ASUS DRW-24B5ST
ОС: Windows 8.1 Pro x64
Прочее: корпус: Fractal Design Define R4
terrybrn, код 0x1069 означает ERROR_WMI_INSTANCE_NOT_FOUND — «The instance name passed was not recognized as valid by a WMI data provider».
Нажмите Win+R -> введите services.msc -> служба Инструментарий управления Windows (Winmgmt) работает? Тип запуска: Автоматически?
HDD: Samsung SSD 850 PRO 256 Гб, WD Green WD20EZRX 2 Тб
Звук: Realtek ALC889 HD Audio
CD/DVD: ASUS DRW-24B5ST
ОС: Windows 8.1 Pro x64
Прочее: корпус: Fractal Design Define R4
terrybrn, в этот раздел: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\WMI\Autologger не лазили, случайно? Параметр Start не меняли в ветках EventLog-Application, EventLog-Security, EventLog-System?
Это сообщение посчитали полезным следующие участники:
В данной статье показаны способы, с помощью которых можно открыть «Просмотр событий» (журнал событий) в операционной системе Windows 10.
Просмотр событий — это средство просмотра журналов системы в котором производится регистрация всех основных событий, которые происходят в системе с последующей их записью. Записываются ошибки, предупреждения и просто различные уведомления. На основе этих событий пользователи могут найти полезную информацию для устранения неисправностей, обнаружения причин проблем с системой, приложениями и оборудованием компьютера.
Оснастка «Просмотр событий» содержит различные журналы событий, такие как журнал системы, безопасности, приложений и другие.
Журналы событий представляют собой набор файлов с расширением *.evtx, которые хранятся в системном каталоге по следующему пути: %SystemRoot%/System32/Winevt/Logs
Пример оснастки «Просмотр событий» показан на скриншоте ниже.
Как открыть «Просмотр событий» в окне «Выполнить»
Чтобы открыть оснастку «Просмотр событий», нажмите сочетание клавиш + R, в открывшемся окне Выполнить введите (скопируйте и вставьте) eventvwr.msc и нажмите клавишу Enter ↵.
Как открыть «Просмотр событий» используя «Поиск»
Чтобы открыть оснастку «Просмотр событий», используйте «Поиск в Windows», для этого нажмите на значок поиска в панели задач или нажмите сочетание клавиш + S, в строке поиска начните вводить eventvwr или просмотр и в результатах поиска выберите Просмотр событий .
Как открыть «Просмотр событий» используя «Средства администрирования Windows»
Откройте «Средства администрирования Windows» любым из способов и в папке «Администрирование» выберите Просмотр событий .
Используя рассмотренные способы, можно открыть оснастку «Просмотр событий» в операционной системе Windows 10.
Как использовать журнал событий системы Windows 10
Средство просмотра событий Windows является одним из инструментов администрирования операционной системы Microsoft.
В первой части руководства будет объяснено, для чего используется этот инструмент и какая информация хранится в его регистрах.
Во второй части руководства мы увидим, как прочитать свойства события и как создать персонализированный вид событий.
Что такое средство просмотра событий Windows
Просмотрщик событий – самый мощный диагностический инструмент в Windows. Его использование имеет фундаментальное значение для контроля целостности системы, поскольку предоставляет подробную информацию обо всех событиях, происходящих на ПК. Событие представляет собой явление, которое происходит внутри системы и передается наружу, – к пользователю или к другим программам, и обычно соответствует состоянию или изменениям конфигурации. События регистрируются службой журнала событий Windows, а их история сохраняется в соответствующих системных журналах.
Средство просмотра событий Windows помогает в анализе проблемы, поскольку позволяет просматривать аппаратные и программные аномалии различной природы (сбой при запуске службы, сбой системы, невозможность установить обновление, повреждение в структуре файловой системы, конфликт IP-адресов).
Как запустить средство просмотра событий Windows
Давайте начнем с руководства по просмотру событий Windows, объяснив, как его запустить.
Важно: просмотрщик событий может запускаться как обычным пользователем, так и администратором (→ разница между обычным пользователем и администратором). Однако, в первом случае регистр безопасности будет недоступен.
Нажмите на клавиатуре компьютера клавиши Win (это клавиша с логотипом Windows) и R одновременно.
Откроется окно «Выполнить». В поле Открыть: введите eventvwr и нажмите кнопку ОК .
Откроется оснастка «Просмотр событий».
Разверните её на весь экран.
Обзор и сводка по событиям
Когда мы откроем средство просмотра событий, на панели сведений отобразится сводная информация об административных событиях.
Эту информацию можно просмотреть в любое время, щелкнув запись средства просмотра событий (локальный компьютер) в дереве консоли (левая панель).
Это поле позволяет увидеть, произошли ли значительные события по типу за последний час, день или неделю.
В столбце Тип события можно нажать + , чтобы развернуть категорию и просмотреть источник событий того же типа.
Чтобы получить полный список ошибок из одного источника, в области Сводка административных событий мы расширяем Тип события, нажимая + .
Поместите указатель мыши на код события нажмите правую кнопку мыши. Затем выберите Просмотреть все экземпляры этого события. Вы увидите список событий, взятых из нескольких журналов, что позволит избежать необходимости искать событие в нескольких местах.
Журналы просмотра событий Windows
Средство просмотра событий Windows обрабатывает различные типы регистров, разделенных на две основные категории: Журналы Windows и Журналы приложений и служб.
Чтобы просмотреть информацию об этих журналах, в дереве консоли средства просмотра событий (левая панель) щелкните стрелку рядом с категорией журнала, который хотите просмотреть. Нажмите раздел, который вас интересует.
В центральном окне отметьте событие, которое хотите проанализировать. Нажмите на событие, чтобы получить описание события и его наиболее важные свойства (видимые на вкладке «Общие»), или дважды щелкните событие, чтобы открыть окно «Свойства события».
Давайте посмотрим подробно, что содержат журналы средства просмотра событий Windows.
Журналы Windows
В журнале Windows хранятся события, относящиеся ко всей системе. Они делятся на следующие категории:
Применение. В журнале приложений содержатся события, связанные с программами и приложениями. Разработчики программного обеспечения решают, какие события записывать в журнале приложений, а какие – в журнале приложений и служб. События классифицируются в соответствии с их серьёзностью:
Ошибка : указывает на критическую проблему, которая могла привести к потере данных или функциональности.
Предупреждение: указывает на менее значительную проблему, которая может вызвать проблему в будущем.
Информация : описывает правильную работу драйвера, программы или службы.
Безопасность. Журнал безопасности содержит события аудита, связанные с попытками пользователя подключиться и использованием защищенных ресурсов (создание, открытие, удаление файлов). Журнал безопасности идентифицирует события, используя два типа значков: значок ключа и значок замка.
Ключ: идентифицирует события типа успешная проверка.
Замок: идентифицирует события типа проверка не удалась.
Установка. Журнал установки содержит события, связанные с установкой приложений.
Система. В журнале системы указываются события, создаваемые системными компонентами Windows и установленными функциями, такие как драйвер. Например, если драйвер не загружается во время сеанса загрузки, это событие сохраняется в системном журнале. Также в этом журнале события классифицируются как Ошибка, Предупреждение или Информация.
Перенаправленные события. В журнале сохраняются события, произошедшие на удаленных компьютерах.
Журналы приложений и служб
В Журнал приложений и служб сохраняются события, относящиеся к отдельным программам, приложениям и специфическим службам Windows.
Разница между этими журналами и журналами Windows заключается в том, что журналы приложений и служб относятся к конкретной программе или к функциональности, а остальные относятся ко всей системе.
Если мы развернем узел Microsoft, то увидим папку Windows. Эта папка содержит папку для каждой из многих функций Windows.
Просмотр логов и событий
Когда мы выбираем журнал на левой панели средства просмотра событий Windows, на центральной панели отображается список его событий, упорядоченный в обратном хронологическом порядке.
В поле ниже показано содержимое, относящееся к выбранному событию.
Окно свойства события
Чтобы просмотреть детали одного события, мы должны использовать окно Свойства события. Чтобы открыть его, дважды щелкните левой кнопкой мыши на событии в центральной панели.
В окне «Свойства события» мы можем выбрать вкладку Общие или Подробности.
Вкладка «Общие»
Вкладка «Общие» содержит следующую информацию:
Имя журнала: указывает имя журнала, который заархивировал событие.
Источник: Указывает источник события. Может указывать название программы, системного компонента или большой программы.
Код события: это число, которое однозначно определяет тип события. Например, число 6005 – это идентификатор события, который всегда будет указывать на начало журнала событий.
Уровень: указывает уровень серьезности события. В системном журнале и в журнале приложений у нас могут быть следующие уровни серьезности (представленные символом):
Информация: указывает на успех операции, изменение приложения, создание ресурса или запуск службы.
Предупреждение: указывает на событие, которое может вызвать проблему в будущем, если не будет предпринято никаких корректирующих действий.
Ошибка: указывает на событие, которое описывает проблему, которая может повлиять на правильную функциональность системы или приложения, которое вызвало событие. События ошибок могут включать потерю данных или функциональность.
Критичное: указывает на ошибку, которая не позволяет выполнить автоматическое восстановление системы или приложения, которое вызвало событие.
Пользователь: указывает имя пользователя, вошедшего в систему, когда произошло событие.
Код операции: это 1-байтовое числовое значение, которое идентифицирует действие или точку в действии, выполняемом приложением в момент возникновения события. Используется для представления определенного действия или части действия, выполняемого программным обеспечением, но также и для процессов, основанных на действиях трассировки, таких как веб-службы, где действие представляет собой конкретный запрос, полученный веб-службой.
Дата: указывает дату и время, когда событие было записано.
Категория задачи: это классификация события, основанная на происхождении события (используется в журнале безопасности).
Ключевые слова: указывает категорию или тег, полезные для фильтрации или поиска по событиям.
Компьютер: указывает имя компьютера, на котором произошло событие. Обычно это имя локального компьютера, но это может быть имя компьютера, который переадресовал событие, или имя локального компьютера до того, как его имя было изменено.
Вкладка «Подробности»
Вкладка «Подробности» содержит дополнительную информацию о событии.
Информация разделена на два раздела (расширяется нажатием + ):
System: содержит общую информацию, общую для каждого экземпляра события, например, некоторые системные параметры, записанные при публикации экземпляра.
EventData: содержит структурированную информацию о приложении.
Получить дополнительную информацию о событиях
Если вы хотите получить дополнительную информацию, предоставляемую средством просмотра событий Windows, вы можете посетить сайт EventID.net. EventID.net предоставляет базу данных, содержащую тысячи событий с соответствующими комментариями или статьями, предоставленными инженерами сайта, а также внешними сотрудниками.
Поиск может быть выполнен путём ввода идентификатора события, источника или одного или нескольких ключевых слов.
Выполнить действие в ответ на событие
Средство просмотра событий Windows предлагает возможность настроить задачу (например, запуск программы) для автоматического запуска при записи определенного события.
Чтобы использовать эту функцию, запустите просмотрщик событий. В дереве консоли выберите журнал, содержащий событие, которое мы хотим связать с действием.
Щелкните правой кнопкой мыши по событию и выберите «Привязать действие к событию…». Откроется окно мастера основных действий. Следуйте инструкциям для создания действия по событию.
+ R, в открывшемся окне Выполнить введите (скопируйте и вставьте) eventvwr.msc и нажмите клавишу Enter ↵.
