Код события перезагрузки windows

Всем привет, сегодня небольшая заметка для начинающих системных администраторов, рассмотрим вопрос как определить кто перезагрузил сервер Windows. Бывают ситуации, что по какой то причине отваливается сервер его удаленно перезагрузили, зайдя на которой вы не видите что у него был синий экран BSOD, и значит надо искать кто то его отправил в ребут. Вам необходимо выяснить кто это был.

И так рассматривать кто перезагрузил сервер Windows я буду на примере Windows Server 2008 R2, но все действия абсолютно одинаковы в любой версии Windows начиная с Vista. Поможет нам в реализации нашей задачи оснастка Просмотр событий. Открыть его можно Пуск-Администрирование-Просмотр событий или нажать WIN+R и ввести там evenvwr.msc.

у вас откроется оснастка Просмотр событий. Вам нужно выбрать журнал Windows Система. В нем как раз и находится нужная нам информация в виде события. Проблема в том что их генерируется порой очень много, для этого придумали фильтр. Жмем справа в колонке действия Фильтр текущего журнала.

В открывшемся окне вам нужно отфильтровать данный журнал. Задаем дату, я выставил период за последнюю неделю,

можете выставить и меньше и больше. Выбираем уровень событий, ставим все и самое главное какой будет источник событий. В источнике событий выбираете USER32, он и хранит нужный лог.

В итоге у меня получилась вот такая картина

После нажатия кнопки ок вы получите отфильтрованный журнал система, у меня нашлось одно событие. Код события 1074 о том что сервер с Windows Server 2008 R2 был перезагружен системой после установки программы Microsoft SOAP Toolkit.

Мне этого мало и нужно понять кто начал установку данного приложения. Для этого так же переходив уже в журнал Приложения, делаем фильтр, дату ставим например тоже неделю

Еще отфильтруем по кодам событий с 1035-1040

И в итоге мы видим вот такое событие

Вот мы и выяснили кто он мистер Х. В качестве эксперимента можете удаленно перезагрузить тестовую машину или например я рассказывал как перезагрузить компьютер через командную строку.

Windows: Логи Выключений/Перезагрузок

При диагностики проблемы, которая вызывает неожиданные перезагрузки или выключения машины под управлением Windows, важно знать, какие события могут быть с этим связаны, коды этих событий (англ. event ID) и как найти соответствующие логи.

В этой заметке я публикую коды событий, связанных с выключением/перезагрузкой системы.

Я также показываю, как просмотреть историю включений/выключений с помощью стандартного приложения «Просмотр событий» (англ. Event Viewer) или из командной строки с помощью PowerShell.

Дельный Совет: Загрузка Windows в безопасном режиме! Читать далее →

Коды Событий Выключения

Список кодов в журнале событий Windows, связанных с выключением или перезагрузкой системы:

Event ID	Описание
41	Система была перезагружена без корректного завершения работы.
1074	Система была корректного выключена пользователем или процессом.
1076	Следует за Event ID 6008 и означает, что первый пользователь (с правом выключения системы) подключившийся к серверу после неожиданной перезагрузки или выключения, указал причину этого события.
6005	Запуск «Журнала событий Windows» (англ. Event Log). Указывает на включение системы.
6006	Остановка «Журнала событий Windows» (англ. Event Log). Указывает на выключение системы.
6008	Предыдущее выключение системы было неожиданным.
6009	Версия операционной системы, зафиксированная при загрузке системы.
6013	Время работы системы (англ. system uptime) в секундах.

«Просмотр событий» — История Выключений

События связанные с выключениями системы (включая дату и время) могут быть просмотрены с помощью программы «Просмотр событий».

Запустить «Просмотр событий» и найти события связанные с выключениями:

1. Нажмите клавишу Win , наберите eventvwr и запустите Просмотр событий
2. В панели слева разверните Журналы Windows и перейдите в Система
3. Щелкните правой кнопкой мыши на Система и выберите Фильтр текущего журнала.
4. Введите следующие коды в поле и нажмите OK :

Дельный Совет: История команд в PowerShell! Читать далее →

Логи Выключений в PowerShell

Например, чтобы отфильтровать 10000 последних записей из системного журнала событий в Windows и отобразить только те события, которые связаны с включениями или выключениями системы, выполните:

Дельный Совет: Запуск/Остановка служб в Windows из CMD! Читать далее →

Как найти журнал завершения работы в Windows 10

Windows отслеживает процесс завершения работы и записывает все происходящие в этом момент события в системный журнал. В сегодняшней статье мы рассмотрим как найти журнал завершения работы в Windows 10.

В Windows есть три события связанные с выключением компьютера или его перезагрузкой:

• событие 6008 – неправильное завершение работы. Данное событие появляется в журнале если ваш компьютер был резко отключен, может свет пропал или на экране появился синий экран и компьютер ушел в перезагрузку.
• событие 6006 – компьютер правильно завершил свою работу.
• событие 1074 – процесс завершения был инициирован приложением. К примеру, Windows установила обновления и в процессе их установки нужно было перезагрузить компьютер.

Найти журнал завершение работы

1. В строке поиска или в меню выполнить (выполнить вызывается клавишами Win+R) введите eventvwr.msc и нажмите клавишу Enter.

2. В левой колонке выберите “Журналы Windows” => “Система” => с правой стороны выберите “Фильтр текущего журнала”.

3. В строку ниже “Включение или исключение кодов событий” введите 1074, 6006, 6008 и нажмите “ОК”.

Перед вами журнал показывающий только события связанные с завершением работы компьютера.

На сегодня всё, если вы знаете другие способы – пишите в комментариях! Счастья Вам 🙂

История перезапуска / завершения работы Windows Server

Как я могу легко увидеть историю каждого перезапуска или выключения моего Windows Server и причину, в том числе инициированную пользователем, инициированную системой и сбой системы?

Журнал событий Windows — очевидный ответ, но какой полный список событий я должен просмотреть?

Я нашел эти сообщения, которые частично отвечают на мой вопрос:

• Время последней перезагрузки сервера Windows включает в себя несколько ответов, которые частично относятся к полной истории перезапуска
• Просмотр журналов событий завершения работы Windows Server 2008 R2 включает дополнительный идентификатор события
• Время Журнала событий, когда Компьютер запускается / загружается, включает в себя одни и те же идентификаторы событий

но они не охватывают каждый сценарий AFAIK, и информацию трудно понять, потому что она распределена по нескольким ответам.

У меня есть несколько версий Windows Server, поэтому решение, которое работает как минимум для версий 2008, 2008 R2, 2012 и 2012 R2, было бы идеальным.

Самый ясный и краткий ответ, который я смог найти:

который перечисляет эти идентификаторы событий для мониторинга (цитируется, но редактируется и переформатируется из статьи):

• Код события 6005 ( альтернативный ): «Служба журнала событий была запущена». Это синоним запуска системы.
• Событие с кодом 6006 ( альтернативное ): «Служба журнала событий остановлена». Это синоним выключения системы.
• Событие с кодом 6008 ( альтернатива ): «Предыдущее отключение системы было неожиданным». Записи о том, что система запустилась после того, как не была корректно завершена.
• Идентификатор события 6009 ( альтернативный ): указывает имя продукта Windows, версию, номер сборки, номер пакета обновления и тип операционной системы, обнаруженные во время загрузки.
• Код события 6013: отображает время работы компьютера. Для этого идентификатора нет страницы TechNet.

Добавьте к этому еще пару ответов о сбое сервера, перечисленных в моем OP:

• Событие с кодом 1074 ( альтернатива ): «Процесс X инициировал перезагрузку / выключение компьютера от имени пользователя Y по следующей причине: Z». Указывает, что приложение или пользователь инициировали перезапуск или завершение работы.
• Событие с кодом 1076 ( альтернатива ): «Причина, указанная пользователем X для последнего неожиданного выключения этого компьютера: Y». Записывает, когда первый пользователь с правами на отключение входит в систему компьютера после неожиданного перезапуска или завершения работы и указывает причину возникновения.

После выключения и перезагрузки компьютера в журнале событий регистрируется событие с кодом 6008

Сведения в этой статье относятся к системе Windows 2000. Поддержка Windows 2000 завершается 13 июля 2010 г.Центр решений после прекращения поддержки для Windows 2000 — отправная точка при планировании стратегии миграции с системы Windows 2000. Дополнительную информацию можно посмотреть в статье Правила по срокам поддержки продуктов Майкрософт.

Проблема

При перезагрузке компьютера после того, как программа, использующая функцию InitiateSystemShutdownEx, отключает его автоматически, в журнале событий системы может быть зарегистрировано следующее событие:

Источник: Журнал событий
Тип: Ошибка
Описание:
Предыдущее завершение работы системы в Time Date было неожиданным.

Причина

Такое поведение наблюдается в случае одновременного выполнения следующих условий.

Компьютер заблокирован или настроен на работу с экранной заставкой, защищенной паролем.

Завершение работы инициируется автоматически программой, использующей функцию InitiateSystemShutdownEx с флагом срочности.

Например, используется программа удаленного завершения работы (Shutdown.exe) из пакета Microsoft Windows 2000 Resource Kit, чтобы принудительно отключить компьютер с удаленного компьютера, или отключение локального компьютера программой Shutdown.exe запланировано с помощью команды at или планировщика заданий.

В такой ситуации служба журнала событий не получает уведомление о событии завершения работы, и поэтому завершение работы обрабатывается службой как непредвиденное событие.

Решение

Сведения об исправлении

Поддерживаемая функция изменяет стандартное поведение продукта корпорации Майкрософт. При этом она предназначена только для изменения поведения, описанного в этой статье. Ее следует применять только в тех системах, в которых это необходимо.

Если функция доступна для загрузки, в начале этой статьи базы знаний отображается раздел «Исправление доступно для загрузки». Если этот раздел отсутствует, обратитесь в службу поддержки пользователей Майкрософт, чтобы получить функцию.

Примечание. Если возникли другие проблемы или необходимо устранить неполадки, возможно, потребуется создать отдельный запрос. Дополнительные услуги по технической поддержке, не связанные с этой функцией, оплачиваются на стандартных условиях. Чтобы получить полный список телефонных номеров службы поддержки пользователей корпорации Майкрософт или создать отдельный запрос на обслуживание, посетите веб-сайт Майкрософт по следующему адресу:

http://support.microsoft.com/contactus/?ws=support?ln=ruПримечание. В форме «Исправление доступно для загрузки» отображаются языки, для которых доступна эта функция. Если нужный вам язык не отображается, это означает, что функция для данного языка отсутствует.Английская версия исправления содержит атрибуты файлов, приведенные в следующей таблице или более поздние. Дата и время для файлов указаны в формате универсального всемирного времени (UTC). При просмотре сведений о файле в системе происходит перевод соответствующих значений в местное время. Чтобы выяснить разницу между временем в формате UTC и местным временем, откройте вкладку Часовой пояс элемента «Дата и время» на панели управления.
Date Time Version Size File name
—————————————————————
15-Aug-2002 08:34 5.0.2195.5265 42,256 Basesrv.dll
15-Aug-2002 08:34 5.0.2195.5907 222,992 Gdi32.dll
15-Aug-2002 08:34 5.0.2195.6011 708,880 Kernel32.dll
15-Aug-2002 08:34 5.0.2195.4733 332,560 Msgina.dll
15-Aug-2002 08:34 5.0.2195.6000 379,664 User32.dll
15-Aug-2002 08:34 5.0.2195.5968 369,936 Userenv.dll
08-Aug-2002 15:23 5.0.2195.6003 1,642,416 Win32k.sys
15-Aug-2002 08:30 5.0.2195.6013 179,472 Winlogon.exe
15-Aug-2002 08:34 5.0.2195.5935 243,472 Winsrv.dll

Статус

Данное поведение является подтвержденной ошибкой продуктов Майкрософт, перечисленных в разделе «Информация в данной статье применима к».

Дополнительная информация

Для получения дополнительных сведений об использовании программы удаленного завершения работы (Shutdown.exe) для выключения и перезагрузки локального или удаленного компьютера под управлением Windows 2000 щелкните следующий номер статьи базы знаний Майкрософт:

317371 Выключение и перезагрузка компьютера под управлением Windows 2000 с помощью программы удаленного завершения работы

Для получения дополнительных сведений об установке нескольких обновлений с одной перезагрузкой компьютера щелкните следующий номер статьи базы знаний Майкрософт:

296861 Установка нескольких обновлений Windows с выполнением только одной перезагрузки системы

Для получения дополнительных сведений щелкните следующий номер статьи базы знаний Майкрософт:

883635 После запуска заставки Windows на компьютере под управлением Windows 2000 Server может произойте аварийное выключение компьютера